- Son 7 gün
- CWE-78
CVE-2026-121548
nnn togglex eklentisinde dosya adlarıyla işletim sistemi komut enjeksiyonu
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, dosya yöneticisi kullanan kişilerin sistemlerinde uzaktan komut çalıştırılmasına yol açabilir. Saldırganın kötü niyetli bir dosya adı yerleştirmesi yeterli olabilir, bu da veri güvenliği açısından orta-yüksek bir risk oluşturur. Etkilenen sistemlerin belirlenmesi ve güncelleme ya da geçici önlemlerin hızla uygulanması önerilir.
ÖzetTürkçe
nnn dosya yöneticisinin 5.3 ve önceki sürümlerinde, plugins/togglex eklentisi komut enjeksiyonuna açıktır. Çift tırnak ve kabuk sözdizimi içeren özel hazırlanmış dosya adları, xargs -I ile sh -c betiğine eklenerek işlenmektedir. Bu nedenle etkilenen dosya adları üzerinden komut çalıştırılabilmektedir.
Saldırgan ne yapabilir?
Saldırgan, togglex eklentisini çalıştıran kullanıcının yetkileriyle keyfi komutlar çalıştırabilir. Bu da veri okuma, değiştirme veya sistemin tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Jarun nnn through 5.3 contains an OS command injection vulnerability in plugins/togglex that allows attackers to execute commands via crafted filenames. Attackers can place files whose names contain a double quote and shell syntax, which xargs -I splices into an sh -c script, running commands as the user invoking togglex.
Ne yapmalı?
- Üreticinin (proje) sağladığı düzeltme içeren bir sürüme geçin; kaynaklarda kesin düzeltilmiş sürüm numarası belirtilmemiştir, bu nedenle proje deposundaki güncel sürümü ve yama notlarını kontrol edin. Genel öneri
- Güncelleme yapılana kadar togglex eklentisini kullanmayı durdurun veya eklentiyi devre dışı bırakın. Genel öneri
- Güvenilmeyen kaynaklardan gelen veya şüpheli dosya adlarına sahip dizinleri togglex ile işlemekten kaçının. Genel öneri
Ek önlemler
- Kullanıcıların nnn ve eklentilerini düzenli olarak güncel sürümlere yükseltmesini sağlayın. Genel öneri
- Ortak kullanılan dizinlerde beklenmedik dosya adlarını izlemek için dosya sistemi denetimi uygulayın. Genel öneri
- Eklentilerin yetkili olmayan kullanıcılar tarafından çalıştırılmadığından emin olun ve en az yetki ilkesini uygulayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| jarun nnn | ≤ 5.3 | – |
Kaynaklar7 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.